横山哲也(トレノケート株式会社:グローバルナレッジネットワーク株式会社から社名変更)
Windows Server等のIT技術者向けトレーニングを担当
2017年4月10日(月)に「今さら聞けない！ Active Directory入門」というタイトルで無料セミナーを行ないました。
スライドは「今さら聞けない！ Windows Server 2016 Active Directoryドメインサービス入門」として公開しています。
私が初めてActive Directoryに触ったのが1997年ですから20年経ったことになります。
今でも基本的な構造は全く変わっていないのは、当初の設計が良かったからでしょう。
もっとも、1997年当時は今と違うこともたくさんあって、ドキュメントには「Windows NTでは、ローカルグループとグローバルグループが分かりにくかったので、Active Directoryでは単に『グループにする』とありましたが、実際にはユニバーサルグループが追加されて、さらに複雑になっています(しかし、分かりやすくはなりました)。
▲Windows NT 5.0ベータ1での管理画面
訳あって、改めてクラウドコンピューティングの定義を調べています。
米国商務の国立標準技術研究所(NIST)の定義は、WordファイルだったのがPDFになっていました。
The NIST Definition of Cloud Computing
この翻訳はいくつかあるのですが、最も有名なものが情報処理推進機構(IPA)のものでしょう。
クラウドコンピューティングは、共用の構成可能なコンピューティングリソース(ネットワーク、サー バー、ストレージ、アプリケーション、サービス)の集積に、どこからでも、簡便に、必要に応じて、ネットワーク経由でアクセスすることを可能とするモデルであり、最小限の利用手続きまたはサービスプロバイダとのやりとりで速やかに割当てられ提供されるものである。
以前読んだものを少し違う、と思って調べたらAgile Catさんによる別の翻訳もありました。
クラウド･コンピューティングとは、コンフィグレーションが可能なコンピューティング･リソース（ネットワーク／サーバー／ストレージ／アプリケーション／サービス）で構成される共有層への、オン･デマンドのネットワーク･アクセスを可能にするための、利便性の高いモデルのことだ。そして、それらのリソースは、最小の管理手順もしくは、サービス･プロバイダーとのやりとりにより、迅速に供給され、また、解消されるものとなる。
太字部分の原文はこうなっています。
rapidly provisioned and released
一般的な「release」の意味は「解放する」でしょう。スポーツフィッシングでよくある「catch and release」のreleaseです。
クラウドコンピューティングで「(利用者が)仮想マシンをリリースする」と言えば「仮想マシンを物理的な結びつきから解放する」「削除する」の意味になります。
一方で、releaseには「提供」の意味もあります。通常は「出版」の意味で使いますが、IT分野では「製品がリリースされる」のような使い方をします。
クラウドコンピューティングで「(クラウド事業者が)新しい仮想マシンをリリースする」と言えば「社内で準備していたものが、一般提供(社内だけのものから一般解放)された」となり、「高性能な仮想マシンを使う準備ができた」になります。
このように、誰が主体かによってまるで違う意味になってしまいます。
さて、本当はどうなんでしょうね。
クラウドでは「すぐに確保する」ことと同じくらい「すぐに(追加費用なしで)解放する」ことが大事なので、「解消」説を採用したいと思います。
そういえば、CRMを提供しているクラウドサービスの会社「Salesforce」の方が、何かの講演で言ってました。
Salesforceの顧客満足度はとても高い。
なぜなら「不満のある人はすぐに解約する」。
半ば冗談のようでしたが、これは非常に大事なことだと思います。
▲我が家のSurface RT、不要になったけどなかなか捨てられない
2017年3月30日(木)「今さら聞けない！ Microsoft Azure 仮想マシン入門」というタイトルで無料セミナーを開催しました。
内容は、「管理ディスク(Managed Disk)」を使った仮想マシン展開とテンプレート作成の方法で、比較的新しいお話ができたのではないかと思います。
クラシックモデルでは容易だった仮想マシンイメージの作成が、リソースマネージャーになるとJSONファイルを扱ったり、リソースエクスプローラーを使ったり、結構面倒だったのですが、管理ディスクを使うことでクラシックモデル並みに簡単になりました。
管理ディスクの本来の意味は、「ストレージアカウントの管理からの開放」ですが、簡単にテンプレートが作れるようになったことも大きいと思います。
当日使用したスライドを公開してもらったので参考にしてください。
スライドシェア: 今さら聞けない！ Microsoft Azure 仮想マシン入門
▲写真と本文は関係ありません
Microsoft Azureのポイント対サイトVPNの設定をGUIだけで行うことはできない、と思ってたんですができました。前からできたのか、最近できるようになったのかは未確認です。
これで「Microsoft AzureによるITインフラの拡張」でPowerShellが必要なのは、仮想マシンを一般化する部分だけになっているはずです。
やり方は以下の画面で値を入力し、[save]をクリックするだけです。
▲上の枠がアドレスプール、下の枠がルート証明書の設定
VPNインターフェース用のIPアドレス範囲です。サブネットマスクは24ビット以上が必要です。
ここでは、192.168.1.0/24を指定しています。
BASE64形式のルート証明書の本体(BEGIN/ENDを含まない範囲)を貼り付けます。ファイルを参照する機能はありません。
ここでは2つ目のルート証明書として指定しています。
1行しか枠がないところに、これだけの内容を貼り付けるのは不自然ですね。
▲選択した部分をクリップボード経由で貼り付ける
Microsoft Azureで「社内の複数の拠点からVPNを張ってAzureのリソースを使いたい」と言われることがあります。
従来は、簡単な作業でなかったのですが、リソースマネージャーモデルであれば、以下のようにGUIだけで構成できます。リソースマネージャーでもVPNゲートウェイは1台しか作れませんが、複数の接続を簡単に追加できるからです。
まず拠点単位でローカルネットワークゲートウェイを構成します。ローカルネットワークゲートウェイは、オンプレミスのVPNルーターの情報を保存したものです。
次に、ローカルネットワークゲートウェイを使って、接続を追加します。
ここまでで、Azureと拠点A、Aureと拠点Bの接続が完了します。
マイクロソフトが提供するオンプレミス側VPNゲートウェイの構成スクリプトは、Azureの仮想ネットワークとローカルネットワークの範囲しかルーティングしないため、拠点Aと拠点Bの接続は構成されません。
これは、既存のルーティング情報に影響を与えないためです。そのため、Azureとの接続前から拠点Aと拠点Bが接続できている場合はそのまま使い続けることが可能です。
ただし、AzureのVPNゲートウェイ自体はローカルネットワークゲートウェイの情報を使ったルーティングが可能なので、オンプレミス側VPNゲートウェイで必要なルーティング情報を与えてやれば、拠点Aと拠点Bの接続が可能です。
以上の内容を図にしました。
同様に、ローカルネットワークゲートウェイのネットワーク範囲を追加すれば、オンプレミス側のネットワークも拡張できます。
なお、インターネット回線を通るため、拠点Aと拠点Bの通信にはそこそこ大きな遅延が発生します。
実際に、東京のトレーニングセンター内で仮想的に2つの拠点を作り、東日本のデータセンターにVPNゲートウェイを作って、拠点Aから拠点Bにpingを飛ばしたところ、10ミリ秒から25ミリ秒の遅延が発生しました(オンプレミスのルーターはWindows Server 2012 R2仮想マシン)。
連続して通信を行っても、遅延にはかなりばらつきがありました。決して品質が高いとはいえないのですが、インターネットにさえつながればどこからでも接続できるので、便利な状況もあるでしょう。
Windowsにはドライブ全体を暗号化する「BitLockerドライブ暗号化(BDE)」機能が備わっています。
このBitLocker、現在はPCのハードウェアとしてTPM(Trusted Platform Module)が必要です。TPMが存在しない、あるいは無効になっている場合はBitLockerは使えません。それどころか、管理ツールすら表示されません。
TPMは、ハードウェア的なセキュリティ機能を持っており、安全な暗号化キー管理には必須の機能です。しかし、TPMがない場合でも、(セキュリティレベルの低下は承知で)パスワードなどを使った暗号化をしたい場合があります。
グループポリシーを有効にすることで、ソフトウェアベースの暗号化が可能になります。
BitLockerの制御は、以下のグループポリシーにまとめられています。
[コンピューターの構成]-[管理用テンプレート]-[Windowsコンポーネント]-[BitLockerドライブ暗号化]
OSのドライブ(通常はCドライブ)およびデータ用ドライブに対して、ソフトウェアベースの暗号化(TPMを使わない暗号化)を有効にするのは、それぞれ以下の項目を[有効]に設定し、[ハードウェアの暗号化を使用できない場合はBitLockerのソフトウェアベースの暗号化を使用する]を許可します。
設定を有効にするには再起動が必要でした。
以上の操作をすることで、BitLockerの管理ツールが有効になります(Windows Serverの場合はBitLockerの機能を追加する必要があります)。
仮想マシンにはTPMが存在しませんので、BitLockerを使うには、この操作を行う必要があります。ただし、Windows Server 2016およびWindows 10 EnterpriseのHyper-Vでは第2世代の仮想マシンで「仮想TPM」が利用できます。
BitLockerでは、以下の方法で暗号化キーを保存します。通常はTPMが必須、その他の方法はオプションです。
TPMはマザーボードに実装されているため、ディスク装置を別のサーバーに移動した場合は暗号化データを読むことができません。そこで、緊急用に、あらかじめ「回復キー」を保存しておきます。
回復キーは、BitLocker構成時に保存するように促されます。
回復キーはドライブごとに生成されるため、システムドライブとデータドライブでは別々に設定されます。必ず両方保存してください。
システムディスクに損傷があった場合、OSが起動できなくなります。この場合は、以下の手順で回復します。
【参考】回復キーのバックアップで生成されるファイルは以下の通りです。
